CVE-2024-9379

SQL injection (CWE-89) no console administrativo web do Ivanti Cloud Services Appliance (CSA), versões anteriores à 5.0.2. A falha exige que o atacante já esteja autenticado com privilégios de administrador, o que limita drasticamente o cenário de exploração direta pela internet — mas está no catálogo KEV da CISA como exploração confirmada, e foi divulgada junto com outras duas CVEs (CVE-2024-9380 e CVE-2024-9381) no mesmo advisory da Ivanti, o que sugere uso combinado com outras falhas para escalar acesso até chegar a esse privilégio.

A vulnerabilidade está no console de administração web do Ivanti CSA. Segundo o fornecedor e a entrada da CISA no KEV, um atacante autenticado como administrador pode enviar entrada que é incorporada em uma consulta SQL sem sanitização adequada, permitindo executar comandos SQL arbitrários no backend do appliance (CWE-89 — SQL Injection).

O vetor CVSS (AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H) indica que a exploração ocorre pela rede, sem interação do usuário e com baixa complexidade técnica uma vez satisfeito o pré-requisito de privilégio (PR:H = alto, ou seja, é preciso já ter acesso admin). O impacto declarado é integridade e disponibilidade altas, e confidencialidade nula — o que é atípico para SQLi e sugere que o vetor de exploração documentado pelo fornecedor foca em modificação/corrupção de dados e/ou disrupção via comandos SQL destrutivos, não em exfiltração direta de dados sensíveis via a injeção em si.

Não há, nas fontes disponíveis, detalhes públicos sobre o endpoint específico, o parâmetro vulnerável ou a query afetada dentro do console. O fornecedor não publicou write-up técnico detalhado da mecânica interna da falha além da descrição genérica.

O pré-requisito central desta CVE é acesso autenticado com privilégios de administrador ao console web do CSA — não é uma falha explorável por um atacante anônimo isoladamente. Isso reduz o universo de exploração direta a cenários onde credenciais admin já foram comprometidas (phishing, reuso de senha, vazamento) ou onde o atacante encadeou essa falha com outra vulnerabilidade que concede ou eleva esse acesso administrativo — o fato de ter sido divulgada no mesmo advisory que CVE-2024-9380 e CVE-2024-9381 é consistente com esse padrão de exploração encadeada, comum nas séries de CVEs do CSA divulgadas em 2024.

A CISA confirma exploração ativa ao incluir a falha no catálogo KEV (adicionada em 2024-10-09, com prazo de correção definido para 2024-10-30 para agências federais dos EUA), mas o campo 'Known To Be Used in Ransomware Campaigns' está marcado como 'Unknown' — não há atribuição documentada a campanhas de ransomware nas fontes disponíveis.

Uma vez obtido o acesso administrativo (por qualquer meio), a exploração da SQLi em si tem complexidade baixa (AC:L) e não exige interação do usuário. O resultado final documentado pelo fornecedor é execução de comandos SQL arbitrários no backend, com potencial para corromper dados de configuração do appliance ou causar indisponibilidade do serviço.

A correção oficial é atualizar para Ivanti CSA 5.0.2 ou versão posterior da linha 5.0.x. A CISA reforça que a linha 4.6.x do CSA atingiu End-of-Life e recomenda removê-la de serviço completamente, não apenas aplicar patch — para 4.6.x não há correção, apenas migração para a linha 5.0.x suportada.

Como controle compensatório caso a atualização imediata não seja viável: restringir e monitorar rigorosamente quem tem credenciais de administrador no console CSA, aplicar MFA nessas contas se suportado, e limitar o acesso de rede ao console administrativo a hosts de gerência confiáveis (não expor à internet). Isso não elimina a falha, mas reduz a superfície de quem pode chegar ao pré-requisito de PR:H.

Não existe mitigação via WAF genérico documentada pelo fornecedor para este caso específico, já que a exploração ocorre dentro de uma sessão administrativa legítima já autenticada — um WAF posicionado na borda não necessariamente inspeciona ou bloqueia tráfego pós-autenticação dentro do console de gerência da mesma forma que faria com uma SQLi não autenticada exposta publicamente.

As fontes disponíveis não descrevem indicadores de comprometimento específicos (padrões de log, assinaturas de payload ou queries anômalas) para esta CVE. Na ausência de IOCs publicados, a abordagem prática é auditar logs de acesso e ação no console administrativo do CSA em busca de atividade fora do padrão vinda de contas admin — criação de contas inesperadas, alterações de configuração fora de janelas de manutenção, ou erros de banco de dados registrados nos logs da aplicação em torno de operações administrativas. Monitorar autenticações administrativas anômalas (horário, origem de IP, geolocalização) é mais relevante aqui do que buscar assinatura de payload, já que o vetor de entrada exige sessão admin já estabelecida.